PHPサイトをモダンでより安全なスタックへ移行
レガシーなPHP、WordPress、Magentoのサイトを、モダンで活発にメンテナンスされているスタックへ移行します。コンテンツとデータはスクリプトで移行し、すべての旧URLをリダイレクトし、検索順位を維持し、パッチを当てるべきPHPランタイムを残しません。
始める2026年はPHPサイトにとって厳しい年になっています
サーバーサイド言語が判明しているWebサイトのうち約69%がPHPで動いています(W3Techs、2026年10月)。そのため、PHP本体や主要プラットフォームの脆弱性は、1件ごとに大規模な事件になります。直近2か月から3件を挙げます。
2026年10月21日
PHP2Shell: PHP本体の2件の重大な脆弱性
CVE-2026-109618とCVE-2026-109619は、5.4以降のすべてのPHPビルドにおいて、アプリケーションコードが実行される前の段階で、通常のHTTPリクエストによる認証不要のリモートコード実行を可能にします。修正版はPHP 8.2以降にのみ提供されています。PHPプロジェクトは、完全な緩和策は存在せず、アップデートが唯一の安全な選択肢であると述べています。悪用の試みは公開から数時間以内に始まりました。
2026年10月
WordPressプラグインが認証不要のアップロードに悪用される
Patchstackは、Bricksforgeの重大な脆弱性(CVE-2026-85097)が10月7日から実際に悪用されているのを確認しました。認証されていない攻撃者が任意のファイルをアップロードし、サイト上で自身のコードを実行できます。このようなプラグインの脆弱性はWordPressサイトへの最も一般的な侵入経路であり、修正版が出た後も長く悪用され続けています。
2026年9月
Magentoのゼロデイ、ホットフィックス前にストアを攻撃
SansecがStyleSmugglerと名付けたCVE-2026-75650は、Adobe CommerceとMagento Open SourceにおけるCVSS 10.0の認証不要リモートコード実行の脆弱性です。Adobeが緊急ホットフィックスを公開する3日前の9月4日から、攻撃が確認されています。
出典: PHPプロジェクトのリリースノート(2026年10月21日)、Cisco Talos、Patchstackを引用したSecurityWeek、SansecとAdobeを引用したSOC Prime、W3Techs。
お客様のWebサイトはまだ動いています。実はそれこそが問題です。セキュリティアップデートが提供されなくなったPHPバージョン、誰もメンテナンスしていないプラグイン、あるいはすでに退職した一人の開発者しか理解していなかったカスタムコードベースの上で動いているからです。新たな脆弱性情報が出るたびに緊急パッチ対応に追われ、そもそもパッチが存在しないことさえあります。2026年10月のPHP2Shellの脆弱性は、それがいかに速く深刻化するかを示しました。悪用は公開から数時間以内に始まり、PHP 8.1以前のサイトには修正が提供されませんでした。
そこでOOZOUの出番です。まず評価を行い、率直な答えをお伝えします。サポート対象のPHPリリースへのアップグレードとセキュリティ強化で十分な場合もあり、その場合はそのように申し上げます。十分でない場合は、モダンで活発にメンテナンスされているスタックの上に再構築します。マネージドクラウドホスティング、編集者にとって本当に使いやすいヘッドレスCMS、そして依存関係の自動更新、Webアプリケーションファイアウォール、リリースごとのセキュリティチェックを備えたパイプラインという構成です。コンテンツ、メディア、ユーザー、注文はスクリプトで移行して旧サイトと照合します。すべての旧URLに恒久的なリダイレクトを設定することで、検索エンジンが新サイトを同一のサイトとして扱うようにします。
OOZOUにはこの実績があります。Makro HORECA AcademyのレガシーなWordPressサイトとプラグインは専用に構築したプラットフォームに、GM Tourのレガシーな予約システムはモダンなシステムに置き換えました。いずれもOOZOUのチームが一貫して設計・構築したプラットフォームであり、その成果はどちらのお客様も自社で所有しています。
主なケイパビリティ
バズワードではなく、この案件で実際に提供する能力です。
パッチを当てる対象が残らない
PHPから離れることで、PHPランタイムとそのすべてのバグが攻撃対象領域から取り除かれます。代わりに導入するスタックには、依存関係の自動更新、Webアプリケーションファイアウォール、マネージドシークレット、リリースごとのセキュリティレビューが最初から備わっています。
人材を採用しやすいスタック
マネージドクラウド上の主流で十分に文書化されたスタックに、CI/CDと自動テストを組み合わせます。古いコードを理解している唯一のフリーランサーにサイトが依存することは二度とありません。
より速いページ、検索順位はそのまま
Core Web Vitals向けに調整されたサーバーレンダリングのページに加え、すべての旧URLのリダイレクトマップ、メタデータと構造化データの引き継ぎ、カットオーバー前後のクロールレポートの比較を行います。
再入力ではなくスクリプトで移行
WordPress、Drupal、Magento、Laravel、またはカスタムPHPアプリからページ、投稿、メディア、ユーザー、注文をエクスポートし、新しいプラットフォームに読み込み、旧サイトと照合した上で、本番公開前にリハーサルを行います。
使用技術
トレンドではなく課題に合う、実証済みのツールとプラットフォームを選びます。
アプローチ
課題から本番までの明確な道筋。サービスごとに合わせ、一律の型にはしません。
レビュー
既存のPHP実装のコード、データベース、連携、ホスティングを確認し、移すべきものを洗い出します。
移植
アプリケーションをモダンで活発にメンテナンスされているスタックへ移植し、動くものは残し、動かないものは直します。
移行
データベース、コンテンツ、メディアはスクリプトで移行し、件数とサンプルを旧システムと照合します。
デプロイ
マネージドクラウドホスティング、CI/CD、各環境を整え、リダイレクトを有効にして旧サイトを待機させたままカットオーバーします。
堅牢化
堅牢化、Webアプリケーションファイアウォール、依存関係の更新、アラート付きの監視により、ユーザーより先に問題を把握できます。
サポート
明確なSLAを備えたマネージドサポートか、ドキュメント付きでお客様のチームへ引き継ぐか。お選びいただけます。
あらゆる規模の予算に対応
予算の規模を問わず対応します。スコープ、チーム規模、契約形態をご予算に合わせて柔軟に調整し、開発の水準は変えません。
エンタープライズ
複雑なプラットフォームに対応するフルデリバリーチーム。大企業が求めるセキュリティ、コンプライアンス、プロセスの厳格さを備えています。
成長中のチーム
成長に合わせて伸縮するエンゲージメント。必要なときに増員し、不要になれば縮小。契約を一からやり直す必要はありません。
スモールビジネス・スタートアップ
本質に絞ったリーンな開発。削るのはスコープであって品質ではありません。限られた予算でも堅実なプロダクトを届けます。
なぜ重要か
プロダクト品質、速度、事業インパクトで測れる成果を目指します。
まず率直な答えから
PHPのアップグレードと強化で安全になるなら、そのようにお伝えして、そこで止めます。移行を勧めるのはそれが安くつく場合であり、初めから移行ありきではありません。
エンタープライズの基準を、あらゆる規模のサイトに
タイ最大級のエンタープライズに提供しているのと同じセキュリティレビュー、テスト、リリース規律を、企業サイトやオンラインストアにも適用します。
レガシー置き換えの実績
Makro HORECA AcademyのWordPressサイトとGM Tourの予約システムは、いずれもOOZOUが一貫して設計・構築したプラットフォームに置き換えられました。移行がどこでつまずくかを知っているのは、実際に移行をやり遂げてきたからです。
すべてお客様のもの
コードはお客様のリポジトリに、インフラはお客様のアカウントに、データはお客様のデータベースに置かれます。OOZOUにも、プラグインベンダーにも、ホスティングプランにもロックインされません。
よくあるご質問
私たちの働き方について、率直にお答えします。
PHPから離れる必要がありますか？それとも今のサイトを安全にするだけでも対応できますか？
必ずしも移行が必要とは限りません。まずPHPのバージョン、フレームワーク、プラグイン、ホスティングを評価します。サポート対象のPHPリリースへのアップグレードとセキュリティ強化で安全になるのであれば、そのようにお伝えします。ただし、PHP 8.1以前はPHPプロジェクトからのアップデートが終了しており、PHP 8.2も2026年12月31日にセキュリティサポートが終了します。開発が止まったプラグインは修正されることがありません。そのため、多くの古いサイトでは、緊急パッチをもう1年続けるよりも移行の方が安くつきます。
Googleの検索順位は下がりませんか？
適切に行われた移行であれば、下がらないはずです。すべての旧URLを恒久的なリダイレクトで新しいURLに対応付け、タイトル、メタデータ、構造化データを引き継ぎ、カットオーバー前後のクロールレポートを比較します。ページの高速化は、多くの場合検索順位にマイナスではなくプラスに働きます。
コンテンツ、ユーザー、注文データはどうなりますか？
すべて一緒に移行します。WordPress、Drupal、Magento、Laravel、またはカスタムデータベースからのエクスポートをスクリプト化し、新しいプラットフォームに読み込み、件数とサンプルを旧サイトと照合して検証します。編集者は引き続きCMS(通常はヘッドレスCMS)を使えるため、公開作業が難しくなることはありません。
移行にはどのくらいの期間がかかりますか？
スコープによって異なるため、まずスコーピングから始めます。コンテンツサイトであれば通常は数週間、独自のビジネスロジック、連携、ユーザーアカウントを持つプラットフォームであれば数か月かかります。カットオーバーまで旧サイトと新サイトを並行稼働させるため、一括切り替えのリスクはありません。
コードの所有者は誰で、新しいサイトは誰がホスティングしますか？
お客様です。ソースコード、インフラ、データのすべてをお客様が所有し、ドキュメントと引き継ぎも最初から含まれています。モニタリング、アップデート、明確なSLAを備えたマネージドサポート契約のもとでOOZOUが運用することも、お客様のチームへ引き渡すことも可能です。
移行の費用はどのくらいかかりますか？
サイトのどの程度がカスタム実装か、移行すべきコンテンツとデータの量、既存の連携の有無によって異なるため、まず評価から始めます。何かを確約する前に、スコープを定めた計画と見積もりをお渡しします。サポートが終了したスタックから抜け出せないサイトであれば、緊急パッチをもう1年続けるよりも移行の方が安くつくのが通常です。